แฮ็กเกอร์รายหนึ่งได้ดูดเงินมูลค่าประมาณ 4.67 ล้านดอลลาร์จากสะพานของ Secret (SCRT) ที่เชื่อมกับ Axelar (AXL) โดยอาศัยช่องโหว่ในสัญญาที่มิ้นต์โทเคนที่ไม่มีหลักประกันขึ้นมาจากความว่างเปล่า
ประเด็นสำคัญ:
- สัญญาใน Secret Network ที่มีช่องโหว่เปิดโอกาสให้ผู้โจมตีมิ้นต์โทเคนไร้หลักประกัน ดูดเงินไปประมาณ 4.67 ล้านดอลลาร์
- การขโมยถูกซ่อนอยู่นานเจ็ดวัน จนการโอนข้ามเชนล้มเหลวเผยให้เห็นว่า escrow ว่างเปล่า
- Axelar ปิดการเชื่อมต่อที่ได้รับผลกระทบทันที และย้ำว่ามูลโปรโตคอลของตนไม่ถูกแตะต้อง
สะพาน Secret Network สูญเงินหลายล้าน
การโจรกรรมเริ่มต้นเมื่อวันที่ 10 มิ.ย. แต่ไม่มีใครสังเกตเห็นเป็นเวลาเจ็ดวัน เพราะ Secret เข้ารหัสยอดคงเหลือเป็นค่าเริ่มต้น ทำให้หลักประกันที่หายไปไม่แสดงบนเชน เหตุการณ์เพิ่งถูกพบในวันที่ 17 มิ.ย. เมื่อธุรกรรมโอนข้ามเชนตามปกติล้มเหลวเพราะบัญชี escrow ถูกดูดจนเกลี้ยง จากนั้นทีมสืบสวนได้ย้อนรอยส่วนที่หายไปไปยังการถอนที่น่าสงสัยเจ็ดรายการในวันแรกของเหตุการณ์
Axelar ยืนยัน การสูญเสียเมื่อวันที่ 19 มิ.ย. และปิดการเชื่อมต่อ Secret และ Secret-SNIP ที่ได้รับผลกระทบภายในไม่กี่ชั่วโมง พร้อมย้ำว่ามูลโปรโตคอลของตนไม่ถูกยุ่งเกี่ยว ทีมงานระบุว่าได้ติดต่อกระดานเทรดและหน่วยงานบังคับใช้กฎหมายเพื่อติดตามเงิน ประมาณ 672,000 ดอลลาร์ยังคงอยู่ในกระเป๋าหลักของผู้โจมตีโดยไม่ถูกแตะต้อง
อ่านเพิ่มเติม: การไหลออกจาก Bitcoin ETF ทำสถิติ 6.35 พันล้านดอลลาร์ แต่แรงเทขายตื่นตระหนกอาจเริ่มเย็นลง
ช่องโหว่อนุญาตให้มิ้นต์ไม่จำกัด หลอกสัญญาได้สำเร็จ
สัญญาที่มีช่องโหว่มีหน้าที่มิ้นต์โทเคนที่ถูกห่อบน Secret สำหรับสินทรัพย์ที่ถูกบริดจ์มา แต่ไม่เคยตรวจสอบเลยว่าการฝากนั้นมาจากช่องทาง (channel) ใดจริง ๆ โดยตรวจสอบเพียงชื่อโทเคนเทียบกับรายการที่ได้รับอนุญาตเท่านั้น
บริษัทวิจัย Common Prefix ได้เผยแพร่ รายงานชันสูตรเหตุการณ์ที่แสดงให้เห็นว่าช่องโหว่เพียงจุดเดียวนี้นำไปสู่หายนะได้อย่างไร เนื่องจากเครือข่ายปกปิดการโอนเป็นค่าเริ่มต้น การติดตามตัวผู้โจมตีจึงยากกว่ามากเมื่อเทียบกับการทำธุรกรรมบนบัญชีแยกประเภทสาธารณะที่โปร่งใสเต็มรูปแบบ
เพื่อใช้ประโยชน์จากช่องโหว่ ผู้โจมตีได้สร้างเชนของตนเองที่มีวาลิเดเตอร์เพียงหนึ่งตัว เปิดช่องทางที่ไม่ได้รับอนุญาต แล้วรีเลย์แพ็กเก็ตปลอมด้วยตนเอง โดยใส่ชื่อโทเคนที่ดึงมาจาก allow-list เข้าไปในแพ็กเก็ตเหล่านั้น
สัญญายอมรับแพ็กเก็ตดังกล่าวและมิ้นต์โทเคนจริงที่สามารถแลกคืนได้ โดยไม่มีหลักประกันใด ๆ รองรับอยู่เบื้องหลัง
การนำโทเคนปลอมเหล่านี้ไปแลกผ่านช่องทางจริง ทำให้ escrow ถูกดูดจนเกลี้ยงในสินทรัพย์ที่ถูกห่อทั้งเจ็ดรายการ ช่องโหว่นี้ไม่ใช่เรื่องใหม่ และบริษัทได้รายงาน ว่าโค้ดตรรกะเดียวกันนี้มีอยู่ตั้งแต่ปี 2023 และยังรอดพ้นจากการย้ายระบบในเดือนมี.ค. 2026 มาได้ Secret ระบุเพิ่มเติมว่าไม่ได้มีการขอให้บุคคลภายนอกทำการตรวจสอบ (audit) เมื่อสร้างบริดจ์ครั้งแรก
สะพานข้ามเชนยังคงเปราะบาง
เงินที่ถูกขโมยถูกเคลื่อนผ่าน Osmosis แปลงเป็น Ether (ETH) บนกระดานเทรดแบบกระจายศูนย์ แล้วกระจายออกไปยังวอลเล็ตใหม่หลายสิบใบ ก่อนจะไปถึงกระดานเทรดแบบรวมศูนย์สามแห่ง ปฏิกิริยาจากตลาดโดยรวมค่อนข้างสงบ โดยโทเคนของ Axelar ร่วงลงราว 2.2% ในวันเกิดเหตุ ขณะที่ Secret แทบไม่เปลี่ยนแปลง
อย่างไรก็ตาม ความสูญเสียครั้งนี้ยิ่งตอกย้ำว่าปีนี้เป็นปีที่โหดร้ายสำหรับโครงสร้างพื้นฐานข้ามเชน บริดจ์ที่ออกแบบแบบล็อกและมิ้นต์ยังคงเป็นเป้าหมายหลักของการโจมตีในคริปโต โดยช่องโหว่ลักษณะใกล้เคียงกันสร้างความเสียหาย รวมกันมากกว่า 340 ล้านดอลลาร์ในปี 2026 ตัวเลขนี้รวมการรั่วไหล 25 ล้านดอลลาร์ที่ Resolv การสูญเสีย 11 ล้านดอลลาร์ที่ Verus และความเสียหาย 4 ล้านดอลลาร์ที่ IoTeX
อ่านต่อ: บอท JaredFromSubway สูญ 7.5 ล้านดอลลาร์หลังติดกับดักตัวเอง